Microsoft Defender soll Angriffe stoppen, doch drei neu offengelegte Schwachstellen könnten ihn selbst zu einem Teil des Problems machen.
Ein als Chaotic Eclipse bekannter Sicherheitsforscher, der auf GitHub unter dem Namen Nightmare-Eclipse auftritt, hat Proof-of-Concept-Exploits für drei Schwachstellen in Microsoft Defender veröffentlicht. Eine davon wurde Berichten zufolge gepatcht, während zwei weitere ungepatcht bleiben und Angreifern Zugriff auf SYSTEM-Ebene auf betroffenen Windows-Systemen ermöglichen könnten.
Der öffentlich verfügbare Exploit-Code könnte Angreifern einen Fahrplan liefern, bevor Microsoft für jede Schwachstelle Fixes herausgegeben hat.
BlueHammer
BlueHammer ist zum Zeitpunkt der Veröffentlichung die einzige der drei Schwachstellen, für die ein offizieller Patch verfügbar ist, und zugleich die einzige, für die eine Anmeldung bei GitHub erforderlich ist. Sobald diese Voraussetzung erfüllt ist, kann der vollständige BlueHammer-Exploit ausgelöst werden.
BlueHammer lädt ein echtes Microsoft-Definitionsupdate für Defender Antivirus herunter und versieht es mit einer opportunistischen Sperre (Oplock), um privilegierten Zugriff auf Dateien zu erlangen. Sobald die Oplock ausgelöst wird, erstellt der Exploit eine symbolische Verknüpfung, die den Lesevorgang von Defender umleitet und dadurch Informationen über lokale Konten preisgibt. Wird ein lokales Administratorkonto gefunden, überschreibt BlueHammer das Passwort und meldet sich automatisch bei dem Konto an.
Anschließend versucht der Exploit, durch das Erstellen und Starten eines neuen Windows-Dienstes uneingeschränkten Zugriff auf SYSTEM-Ebene zu erlangen. Der gesamte Angriff wurde in einem umfassenden Proof of Concept erfolgreich demonstriert.
RedSun
Obwohl es einige Ähnlichkeiten zwischen BlueHammer und RedSun gibt, bestehen genügend Unterschiede, sodass der RedSun-Exploit durch den BlueHammer-Patch vollständig unbeeinträchtigt blieb.
RedSun funktioniert, indem über die Windows Cloud Files API eine EICAR-Testdatei geschrieben wird. Anschließend nutzt der Prozess eine Oplock, um die Dateiwiederherstellung von Microsoft Defender anzuhalten und den Schreibpfad in das System32-Verzeichnis umzuleiten. Von dort aus wird eine kritische Systemdatei mit einer neuen Datei überschrieben, die sofort ausgeführt wird und dem Angreifer Zugriff auf SYSTEM-Ebene gewährt.
Dieser spezielle Exploit wurde mit den neuesten Versionen von Windows 10 und Windows 11 getestet und bestätigt. Er lässt sich außerdem unter mehreren Versionen von Windows Server einsetzen, darunter 2019, 2022 und 2025.
UnDefend
Ein weiterer Exploit von Nightmare-Eclipse namens UnDefend unterscheidet sich deutlich von den ersten beiden. Statt auf Schwachstellen zur lokalen Rechteausweitung (LPE) zu setzen, wurde UnDefend dafür entwickelt, Denial-of-Service-Angriffe (DoS) zu starten und dadurch zu verhindern, dass Microsoft Defender offizielle Definitionsupdates erhält.
UnDefend kann passiv oder aggressiv eingesetzt werden. Im passiven Modus verhindert der Exploit, dass Defender neue Bedrohungen erkennt, die in offiziellen Definitionsupdates enthalten sind. Der aggressive Modus versucht dagegen, Microsoft Defender vollständig zu deaktivieren. Er funktioniert allerdings nur, wenn Microsoft ein größeres Plattformupdate veröffentlicht.
In die richtige Richtung
Das Team bei Microsoft arbeitete schnell, um den BlueHammer-Exploit zu patchen, doch RedSun und UnDefend sind vorerst weiterhin ungepatcht. Zwar werden für die beiden anderen Exploits mit ziemlicher Sicherheit zu gegebener Zeit Patches veröffentlicht, doch besorgte IT-Teams sollten bis zur Bereitstellung eines dauerhaften Fixes weiterhin alle Aktivitäten und Vorgänge von Defender überwachen.
Anmerkung der Redaktion: Dieser Artikel erschien ursprünglich in unserer Schwesterpublikation TechRepublic.